Svetainės bearboar.lt saugumo patikra

HTTP → HTTPS nukreipimas

HTTP užklausa nukreipiama į HTTPS (301)

TLS sertifikatas

Galioja dar 41 d.

Išdavėjas: Google Trust Services

Strict-Transport-Security (HSTS)

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė kiekvieną kartą iš naujo nusprendžia, ar naudoti HTTPS. Vadinamoji 'downgrade' ataka leidžia užpuolikaui priversti naršyklę prisijungti per nesaugų HTTP net jei svetainė veikia per HTTPS, ir perimti visus perduodamus duomenis.

Rekomendacija: Pridėti HSTS antraštę: Strict-Transport-Security: max-age=31536000; includeSubDomains

Content-Security-Policy (CSP)

Antraštė nenustatyta

Kas gresia:Be šios politikos naršyklė vykdys visus skriptus, nepriklausomai nuo šaltinio. XSS atakos metu užpuolikas gali vykdyti savo kodą lankytojo naršyklėje: vogti sesijų slapukus, šnipinėti klaviatūros paspaudimus, rodyti netikras mokėjimo formas.

Rekomendacija: Įdiegti Content-Security-Policy, bent minimali politika: default-src 'self'

X-Content-Type-Options

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė gali bandyti atspėti failo tipą ir interpretuoti tekstinį failą kaip HTML ar JavaScript. Tai leidžia kai kuriais atvejais vykdyti kenkėjišką kodą, įkeltą kaip paprastas failas.

Rekomendacija: Pridėti X-Content-Type-Options: nosniff

X-Frame-Options (Clickjacking)

Antraštė nenustatyta

Kas gresia:Jūsų svetainę galima įkelti į iframe kitoje svetainėje. Tai naudojama clickjacking atakoms: lankytojas mato vieną turinį, bet faktiškai spaudžia paslėptus jūsų svetainės mygtukus, pvz. Patvirtinti mokėjimą ar Pakeisti slaptažodį.

Rekomendacija: Pridėti X-Frame-Options: SAMEORIGIN

Referrer-Policy

Antraštė nenustatyta

Kas gresia:Paspaudus nuorodą iš jūsų svetainės, naršyklė gali perduoti pilną URL (su parametrais) kitam puslapiui. Tai gali atskleisti jautrią informaciją: paieškos užklausas, vartotojo ID ar sesijų žetonus URL eilutėje.

Rekomendacija: Pridėti Referrer-Policy: strict-origin-when-cross-origin

Server header

Versija nerodoma (cloudflare)

CMS aptikta, WordPress

WordPress, versija nematoma viešai (gerai)

WordPress REST API

/wp-json/ negrąžina REST API atsakymo (JSON)

Neegzistuojantys adresai atsako HTTP 200

Atsitiktinis neegzistuojantis kelias grąžino HTTP 200 („Bear & Boar“), ne 404

Kas gresia:Paieškos sistemos tokius puslapius gali laikyti dublikatais, o klaidų aptikti sunkiau. Jautrių kelių patikra į tai atsižvelgė: failas laikomas atviru tik tada, kai atsakymas atrodo kaip tikras failas, ne kaip svetainės puslapis.

Rekomendacija: Nustatyti, kad neegzistuojantys adresai grąžintų HTTP 404 (WordPress tai daro pats, jei tema ar įskiepis to neperrašo)

Jautrūs keliai (.git, .env, backup failai)

Patikrinti 10 keliai, viešai prieinamų nerasta

DMARC įrašas

Politika: p=none

v=DMARC1; p=none; sp=none; ri=86400

Rekomendacija: Sustiprinti politiką iki p=quarantine ar p=reject

Pašto serveris (MX)

smtp.google.com: paštą tvarko Google Workspace

DKIM parašas

DKIM įrašo su įprastais selektoriais nerasta (gali būti naudojamas kitas selektorius)

Rekomendacija: Įsitikinti, kad pašto serveris pasirašo laiškus DKIM parašu; be jo Gmail ir Outlook laiškus dažniau atmeta

SPF įrašas

SPF įrašas randamas (~all)

v=spf1 include:_spf.google.com ~all

Pašto serverio IP blokavimo sąrašuose

142.250.27.27: Spamhaus ZEN sąraše nerastas

Atgalinio šlamšto (backscatter) sąrašas

142.250.27.27: Backscatterer.org sąraše nerastas

Domeno blokavimo patikrinimas

Spamhaus DBL: domenas blokavimo sąraše nerastas

IP adreso blokavimo patikrinimas

188.114.96.0, Spamhaus ZEN sąraše nerastas

Pagrindinis puslapis pasiekiamas

HTTP 200